Incident Command And Review

---
name: incident-command-and-review
description: 建立只读事件态势、明确指挥角色、组织决策节奏、定义恢复标准，并在稳定后完成无责复盘与纠正措施复验。用于服务异常、业务中断、安全或数据事件的协调与复盘；不用于直接修改生产环境、部署修复、使用凭证、对外通知、替技术负责人诊断实现，或未经人类批准执行任何高风险动作。
---

# 事件指挥与复盘

在压力下保持单一态势、清晰责任和可审计决定。此 Skill 只组织信息、决策和验证，不直接执行生产动作。

## 输入

先收集可观察事实；未知项保持未知：

- 首次发现时间、当前症状、受影响对象与报告来源；
- 已知变更、依赖、监控信号、日志或用户反馈；
- 服务/业务关键度、可接受中断、数据和安全敏感度；
- 当前响应人员、专业负责人、审批人和沟通责任人；
- 已批准的运行手册、恢复目标和回退边界。

不要把时间相关性直接写成因果关系，不在证据不足时宣布根因。

## 响应流程

### 1. 建立事件记录

创建唯一事件标识和单一事实源，记录时间、来源、观察、决定、负责人和结果。把事实、假设、行动建议与已批准动作分开。

### 2. 初步分级

根据实际影响而非情绪评估：

- 受影响的客户、数据、资金、合规或关键流程；
- 影响范围、持续时间、扩散速度与可恢复性；
- 是否存在安全、隐私、法律或不可逆风险；
- 当前证据确定性和最坏可信后果。

证据不足时采用临时等级并注明复查时间，不制造虚假精确度。

### 3. 指定指挥角色

每项职责只设一位直接负责人：

- **事件指挥**：维护目标、优先级、决定和升级；
- **领域负责人**：诊断并提出限制影响、修复或恢复方案；
- **记录员**：维护时间线、假设、证据和决定；
- **沟通负责人**：准备内部/外部信息，发布前取得人类批准；
- **业务代表**：确认客户影响和最低可接受服务。

事件指挥不替领域负责人修改系统，领域负责人也不单方面改变业务优先级。

### 4. 固定响应目标

依次明确：保护人员与数据、限制影响、恢复最小关键服务、保存诊断证据、恢复完整能力。为当前阶段写出成功条件和禁止动作，避免同时追求根因、永久修复和完全恢复。

### 5. 运行决策节奏

按影响变化设置更新频率。每次更新只回答：

- 新确认了什么，哪些假设被推翻；
- 影响是否扩大或缩小；
- 当前响应目标是否变化；
- 需要哪个负责人在何时作何决定；
- 哪些建议等待人类审批。

没有新证据时明确写“无变化”，不为制造进展频繁改动系统。

### 6. 通过动作审批门

任何生产写入、部署、回退、流量切换、凭证使用、数据修复、客户联系或对外状态更新，在执行前必须记录：

- 预期效果与最坏可信后果；
- 前置检查、影响范围和停止条件；
- 回退或恢复方式；
- 执行人与观察人；
- 有权限的人类批准和批准范围。

本 Skill 只形成建议、检查批准证据并记录结果，不调用执行工具。

### 7. 判定恢复

恢复必须同时满足：关键客户路径达到最低标准、错误/积压趋势稳定、数据一致性得到必要检查、回退风险受控、观察窗口结束。无法验证的部分标为“待验证”，不以“暂时无告警”宣布恢复。

### 8. 复盘与复验

稳定后重建带证据的时间线，区分触发因素、促成条件、扩大因素和检测/恢复缺口。纠正措施优先修复系统条件，必须指定负责人、期限、验证方法和关闭证据。只有复验成功后才关闭措施。

## 交付模板

```markdown
# 事件记录：[ID / 简述]

## 当前结论
- 临时等级与依据：
- 当前影响：
- 响应目标：
- 下一决策点：

## 角色
| 职责 | 唯一负责人 | 当前任务 |
|---|---|---|

## 时间线
| 时间 | 类型：事实/假设/建议/批准动作 | 内容 | 证据 | 负责人 |
|---|---|---|---|---|

## 待审批动作
| 建议 | 预期效果/风险 | 停止与回退 | 执行/观察人 | 批准状态 |
|---|---|---|---|---|

## 恢复门
- 最低服务标准：
- 数据/安全检查：
- 观察窗口：
- 待验证项：

## 复盘
- 触发因素：
- 促成与扩大条件：
- 检测/响应/恢复缺口：
- 做得有效的部分：

## 纠正措施
| 措施 | 所有人 | 期限 | 验证方法 | 关闭证据 |
|---|---|---|---|---|
```

## 停止与升级

- 可能危及人员、重大数据、资金或法律责任：立即升级人类负责人和对应领域负责人。
- 发现疑似秘密或个人敏感信息：停止扩散，只记录位置和类别。
- 无授权、无回退或无法限定影响范围：不得建议进入执行。
- 多人同时指挥或事实源分裂：暂停非必要动作，先恢复单一指挥与记录。
- 当前环境无观测能力：标记待验证，不声称已监控、已通知或已恢复。

## 相邻角色边界

- COO 使用本 Skill 组织事件节奏、接口和复盘闭环。
- CTO、PE、安全、数据或其他领域负责人拥有诊断与技术方案。
- CEO 处理重大业务取舍与资源冲突。
- Governor 独立复核恢复声明和纠正措施证据。
- 人类负责人批准生产、凭证、外部沟通和不可逆动作。